Un equipo de tres personas usó Claude para entrar en OpenAI y se llevó 6.500 dólares

Un equipo de tres investigadores de seguridad de la startup Hacktron AI utilizó Claude, el modelo de Anthropic, para entrar en OpenAI. Lo hizo dentro del programa de recompensas por fallos de la propia OpenAI, que les pagó 6.500 dólares por el hallazgo. Encadenaron dos vulnerabilidades críticas, tomaron el control de varias cuentas de ChatGPT de empleados y desde ahí alcanzaron el software interno de la compañía. OpenAI asegura que los fallos ya están resueltos.

De un HEIC al servidor de Discourse

El camino lo encontraron el 25 de julio en Discourse, el software de terceros que sostiene el foro de la comunidad de OpenAI. Bastaba con subir una imagen. Cuando un usuario publicaba un archivo HEIF o HEIC, el formato que usan los iPhone por defecto, Discourse lo pasaba por una cadena de herramientas para convertirlo a JPEG. Primera parada: ImageMagick, una utilidad open source con décadas a la espalda. Como su juego de herramientas no entiende el formato de Apple, cedía el archivo a libheif para que hiciera la decodificación. Dentro de libheif había un fallo de memoria que abría la puerta a instrucciones ajenas: una imagen manipulada hacía que la librería calculara mal la posición de una imagen sobre otra, y eso bastaba para secuestrar el servidor.

Lo incómodo para el sector es que los desarrolladores de libheif ya habían corregido ese fallo meses antes. Pero el arreglo nunca se marcó formalmente como vulnerabilidad, así que no obtuvo número CVE, la forma estándar de seguir estas cosas. Hacktron sostiene que eso explica que el Discourse en producción siguiera con la versión vulnerable.

El exploit que necesitó Opus 5

La versión de Claude que usaban al principio, una variante de Opus 4.8 reservada a investigadores de ciberseguridad, no conseguía construir un exploit funcional. "Opus 4.8 se atascó durante varias sesiones intentando producir un exploit que funcionara", escribieron. "A las pocas horas del lanzamiento de Opus 5, le dimos el mismo problema y lo resolvió." El equipo lo cuenta con detalle en su análisis del incidente.

Ya dentro del servidor de Discourse encontraron un segundo fallo que les permitió hacerse con cuentas de ChatGPT y Codex de usuarios, empleados de OpenAI incluidos. El Codex de uno de ellos estaba conectado a la organización de OpenAI en GitHub. Avisaron a OpenAI y a Discourse, que publicó un parche el 27 de julio.

Para Matt Fredrikson, consejero delegado de la firma de seguridad Gray Swan, el episodio deja claro el cambio de escala: "Por 200 dólares al mes cualquiera puede usar estas herramientas y entrar en una empresa como OpenAI. Si les pasa a ellos, y no creo que hayan descuidado su higiene de ciberseguridad, le puede pasar a cualquiera". Mohan Pedhapati, fundador de Hacktron, lo resumió en X: "La IA está reduciendo la experiencia escasa que hace falta para desarrollar exploits. Trabajo que antes llevaba meses ahora lleva días".

Queda el debate sobre dónde se pone el límite a las capacidades de los modelos. Opus 5, la versión que rompió el bug, no ha tenido restricciones de exportación, a diferencia de Mythos 5, bloqueada temporalmente por sus capacidades de hacking. Y los modelos de pesos abiertos aprietan: SaferAI situó al GLM-5.2 de la china Z.ai a solo unos meses de GPT-5.5 y de Opus 4.7.